[发明专利]一种基于可信UEFI固件引导虚拟机启动的方法及系统

权利要求书

1.一种基于可信UEFI固件引导虚拟机启动的方法，其特征是，包括以下步骤：

验证PEI签名的合法性，在签名合法时进入PEI阶段；

对虚拟硬件进行初始化，对vTPM进行自测和使能；

度量初始化后的虚拟硬件得到度量值，将所述度量值进行扩展得到度量扩展值，并将所述度量扩展值写入vTPM的PCR中；

对比所述度量扩展值与虚拟硬件的基准度量值，验证虚拟硬件的完整性，在满足完整性要求时，引导虚拟机启动。

2.根据权利要求1所述的一种基于可信UEFI固件引导虚拟机启动的方法，其特征是，验证PEI签名的合法性之前还包括：

给虚拟机配置虚拟硬件；

收集虚拟硬件的基准度量值。

3.根据权利要求2所述的一种基于可信UEFI固件引导虚拟机启动的方法，其特征是，所述虚拟硬件包括CPU、芯片和主板。

4.根据权利要求2所述的一种基于可信UEFI固件引导虚拟机启动的方法，其特征是，虚拟化管理平台收集PCR中的基准度量值，并将基准度量值写入vTPM的NVRAM中，所述基准度量值包括八个值，分别保存在八个度量扩展寄存器PCR0-PCR7中。

5.根据权利要求4所述的一种基于可信UEFI固件引导虚拟机启动的方法，其特征是，虚拟硬件的度量值有八个，对每个度量值分别进行扩展，得到八个度量扩展值，获取初始化后虚拟硬件的其一度量值，将度量值进行扩展得到度量扩展值，并将所述度量扩展值写入vTPM的PCR中的具体过程是：

计算初始化后的虚拟硬件的哈希值，作为虚拟硬件的度量值；

读取PCR中当前哈希值；

将当前哈希值和度量值连接成一个总值；

对总值做哈希运算得到度量扩展值，将度量扩展值写入vTPM的PCR中。

6.根据权利要求5所述的一种基于可信UEFI固件引导虚拟机启动的方法，其特征是，对比所述度量扩展值与虚拟硬件的基准度量值，验证虚拟硬件的完整性包括：

对比八个度量扩展值与八个基准度量值是否一一对应相应，若是，则虚拟硬件具备完整性，若否，则虚拟硬件不具备完整性。

7.根据权利要求1所述的一种基于可信UEFI固件引导虚拟机启动的方法，其特征是，所述验证PEI签名的合法性的具体过程是：

判断PEI的Signature和EFI的签名是否相同，若是，则PEI签名具有合法性，若否，则PEI签名不具有合法性。

8.根据权利要求1所述的一种基于可信UEFI固件引导虚拟机启动的方法，其特征是，通过对虚拟硬件进行置位操作，实现虚拟硬件的初始化；分别调用自测指令和使能指令，实现对vTPM的自测和使能，并根据返回结果判断vTPM的自测和使能结果。

9.一种基于可信UEFI固件引导虚拟机启动的系统，其特征是，包括硬件平台合法性验证模块、硬件平台初始化模块、硬件平台度量模块和硬件平台完整性报告模块；

硬件平台合法性验证模块验证PEI签名的合法性，在签名合法时进入PEI阶段；

硬件平台初始化模块对虚拟硬件进行初始化，对vTPM进行自测和使能；

硬件平台度量模块度量初始化后的虚拟硬件得到度量值，将所述度量值进行扩展得到度量扩展值，并将所述度量扩展值写入vTPM的PCR中；

硬件平台完整性报告模块对比所述度量扩展值与虚拟硬件的基准度量值，验证虚拟硬件的完整性，在满足完整性要求时，引导虚拟机启动。

10.根据权利要求9所述的一种基于可信UEFI固件引导虚拟机启动的系统，其特征是，所述硬件平台度量模块包括：

计算单元，计算初始化的虚拟硬件的哈希值，作为虚拟硬件的度量值；

信息获取单元，用于读取PCR中当前哈希值；

数据处理单元，用于将当前哈希值和度量值连接成一个总值；

计算存储单元，用于对总值做哈希运算得到度量扩展值，将度量扩展值写入vTPM的PCR中。